Weryfikacja treści

Weryfikacja treści (ang. content monitoring, keyword monitoring) to parametr monitoringu stron internetowych, który pobiera stronę i sprawdza, czy odpowiedź serwera zawiera ustalony wcześniej fragment tekstu, nazywany frazą kontrolną. Pomiar kończy się jednym z trzech wyników: fraza jest, frazy nie ma albo strony nie udało się pobrać. Parametr uzupełnia sprawdzenie kodu odpowiedzi. Klasyczne wtyczki monitorujące obok listy kodów oczekiwanych w linii statusu mają osobne opcje dla napisu, który musi wystąpić w treści, dla wyrażenia regularnego, także bez rozróżniania wielkości liter, oraz dla minimalnego i maksymalnego rozmiaru strony w bajtach ^[1].

Jak działa

Sonda wysyła żądanie GET, odbiera całą odpowiedź i przeszukuje jej treść. Kod odpowiedzi mówi, jak serwer ocenił obsługę żądania, ale nie opisuje tego, co zobaczy odwiedzający. Google nazywa „soft 404” adres, który zwraca kod 200, a strona informuje o błędzie albo nie ma głównej treści. Wśród przyczyn wymienia brak pliku dołączanego po stronie serwera, zerwane połączenie z bazą danych, pusty wynik wyszukiwarki wewnętrznej i niezaładowany plik JavaScript ^[4]. Takie strony są wyłączane z wyników wyszukiwania ^[4].

RYS. 1.1Kod 200 przy złej treści

Najprostszy wariant to wyszukanie podciągu: fraza musi wystąpić w odpowiedzi dokładnie w zapisanej postaci. Wyrażenie regularne toleruje różnice w zapisie, a dopasowanie odwrócone zgłasza błąd wtedy, gdy wzorzec się pojawi, co pozwala szukać tekstów, których na stronie być nie powinno ^[1]. Warunek minimalnego rozmiaru pozwala odrzucić odpowiedzi puste albo podejrzanie krótkie ^[1].

Sonda bez silnika przeglądarki widzi wyłącznie HTML wysłany przez serwer. W modelu „app shell” początkowy HTML nie zawiera właściwej treści, a ta powstaje dopiero po wykonaniu JavaScriptu ^[7]. Fraza wybrana z widoku w przeglądarce może więc nie istnieć w surowej odpowiedzi.

RYS. 1.2Decyzja weryfikacji treści

Standardy i specyfikacje

Weryfikacja treści nie ma własnej normy. Jest konwencją narzędzi monitorujących, a jej opcje opisuje dokumentacja tych narzędzi ^[1]. W praktyce stosuje się trzy metody porównania:

Metoda	Co porównuje	Słabość
Fraza kontrolna	obecność napisu albo wzorca w treści [1]	nie widzi zmian w pozostałej części strony
Suma kontrolna strony	skrót całej odpowiedzi z wartością wzorcową	nonce zmienia się przy każdym załadowaniu strony [8]
Porównanie wizualne	zrzut ekranu z obrazem wzorcowym [9]	wynik zależy od systemu, przeglądarki i sprzętu [9]

Suma kontrolna słabo pasuje do stron generowanych dynamicznie. MDN zaleca, by atrybut nonce, używany przez Content Security Policy do dopuszczania skryptów wbudowanych, był generowany inaczej przy każdym załadowaniu strony ^[8]. Strona z takim atrybutem nie odda więc dwóch identycznych odpowiedzi, nawet gdy nic się na niej nie zmieniło.

Porównanie wizualne w Playwright przy pierwszym uruchomieniu zapisuje zrzuty wzorcowe, a przy kolejnych porównuje z nimi nowe zrzuty biblioteką pixelmatch; opcja maxDiffPixels określa, ile pikseli może się różnić ^[9]. Elementy zmienne można ukryć własnym arkuszem stylów, co zwiększa powtarzalność zrzutów, a wzorce powinny powstawać w tym samym środowisku, w którym odbywa się porównanie ^[9].

Zagrożenia i skutki

Biały ekran. Błędy PHP i błędy bazy danych w WordPressie mogą objawiać się pustym ekranem bez żadnej informacji, nazywanym białym ekranem śmierci (WSOD). Jako przyczyny dokumentacja wskazuje wtyczkę powodującą niezgodność oraz motyw, zwłaszcza tuż po jego aktywacji ^[2].

Komunikat błędu w treści. Stała WP_DEBUG_DISPLAY decyduje, czy komunikaty debugowania trafiają do HTML stron; domyślnie ma wartość true, a WP_DEBUG domyślnie false. Dokumentacja nie zaleca trybu debugowania na działających witrynach ^[3]. Gdy jest włączony, ostrzeżenia i błędy PHP stają się częścią strony, a odpowiedź nadal może mieć kod 200. Dla sondy to obraz soft 404: sukces w kodzie, błąd w treści ^[4].

Defacement. MITRE ATT&CK opisuje zewnętrzny defacement (T1491.002) jako zmianę systemów dostępnych z zewnątrz, która ma przekazać komunikat, zastraszyć albo wprowadzić w błąd organizację lub użytkowników. Częstym celem są publiczne strony WWW; technikę stosują m.in. grupy haktywistów, a bywa ona wstępem do dalszych ataków ^[5]. Wykrywanie według MITRE obejmuje śledzenie zmian w plikach HTML, JS i CSS serwowanych przez witrynę ^[5]. Fraza kontrolna wykryje podmianę tylko wtedy, gdy ta usunie frazę; skrypt dopisany do strony z nienaruszoną stopką przejdzie niezauważony.

Zatruta pamięć podręczna. Web cache poisoning to technika, w której atakujący wykorzystuje zachowanie serwera i pamięci podręcznej tak, by szkodliwa odpowiedź trafiała do innych użytkowników ^[6]. Cache rozpoznaje żądania po kluczu, zwykle linii żądania i nagłówku Host; składniki żądania spoza klucza mogą zmienić odpowiedź serwera, a zapisana kopia jest potem wydawana wszystkim ^[6]. Skutkiem bywa XSS, wstrzyknięcie JavaScriptu albo otwarte przekierowanie, a atak da się zautomatyzować tak, by zatruwał cache bez końca ^[6]. Sonda, która pobiera stronę przez ten sam CDN co odwiedzający, widzi tę samą kopię.

Fałszywe alarmy. Frazę usuwa też zwykła przebudowa strony, a tekst dokładany JavaScriptem nie występuje w pierwotnym HTML ^[7]. Strona chroniona przez Cloudflare może zamiast treści oddać stronę wyzwania: pełnoekranowy ekran wyświetlany przed docelowym adresem, na którym przeglądarka musi wykonać JavaScript, zwykle w mniej niż pięć sekund ^[10]. Klient, który nie wykonuje JavaScriptu, zobaczy tylko ekran wyzwania, a w nim frazy nie ma.

Przykłady

Sytuacja	Co widzi sonda	Wynik frazy
Błąd PHP lub bazy danych, WSOD [2]	pusta albo prawie pusta odpowiedź	brak
Włączone wyświetlanie błędów [3]	kod 200, komunikaty PHP w HTML	zależy od miejsca frazy
Zerwane połączenie z bazą danych [4]	kod 200, strona z komunikatem błędu	brak
Pełna podmiana strony głównej [5]	obca treść	brak
Dopisany skrypt, stopka bez zmian	strona z frazą i obcym kodem	jest
Zatruta kopia w cache [6]	szkodliwa odpowiedź z pamięci podręcznej	zależy od podmiany
Wyzwanie JavaScript przed stroną [10]	ekran weryfikacji zamiast treści	brak
Treść budowana przez JavaScript [7]	szkielet HTML bez właściwej treści	brak
Strona z nonce CSP [8]	odpowiedź różna przy każdym pobraniu	jest; suma kontrolna by się zmieniła